在web.xml中進行配置，對所有的URL請求進行過濾，就像"擊鼓傳花"一樣，鏈式處理。

配置分為兩種A和B。

A:普通配置

在web.xml中增加如下內容：
<filter>
    <filter-name>permissionFilter</filter-name>
    <filter-class>com.taobao.riskm.filter.PermissionFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>permissionFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>
由filter和filter-mapping構成。filter指定過濾器處理類(實現了Filter介面)，filter-mapping指定過濾的規則。

B:高階配置

(允許代理注入Spring bean)

在web.xml中增加如下內容：
<filter>
    <filter-name>permission</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    <init-param>
        <param-name>targetFilterLifecycle</param-name>
        <param-value>true</param-value>
    </init-param>
</filter>
 <filter-mapping>
    <filter-name>permission</filter-name>
    <url-pattern>*.htm</url-pattern>
</filter-mapping>

在spring bean配置中加入：
 <bean id="permission" class="com.taobao.kfc.kwb.web.permission.PermissionHttpServlet"></bean>

因為filter比bean先載入，也就是spring會先載入filter指定的類到container中，這樣filter中注入的spring bean就為null了。

解決辦法：
先filter中加入DelegatingFilterProxy類，"targetFilterLifecycle"指明作用於filter的所有生命週期。
原理是，DelegatingFilterProxy類是一個代理類，所有的請求都會首先發到這個filter代理，然後再按照"filter-name"委派到spring中的這個bean。

在Spring中配置的bean的name要和web.xml中的<filter-name>一樣.

------------------------------------------------------------------------------------------------------

在Shiro的配置檔案中，發現與上述有所差異，Spring中配置的bean的name如下

 在web.xml中

<filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
        <init-param>
            <param-name>targetFilterLifecycle</param-name>
            <param-value>true</param-value>
        </init-param>
    </filter>
    <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        <url-pattern>/actions/*</url-pattern>
    </filter-mapping>

<!-- Shiro Filter 攔截器相關配置 -->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- securityManager -->
        <property name="securityManager" ref="securityManager"/>
        <!-- 重新登入路徑 -->
        <property name="loginUrl" value="/actions/invalid"/>
        <!-- 使用者訪問無許可權的連結時跳轉此頁面  -->
        <property name="unauthorizedUrl" value="/actions/index"/>
        <!-- 驗證成功跳轉此頁面  -->
        <property name="successUrl" value="/actions/secured/home"/>
        <!-- 過濾鏈定義 -->
        <property name="filterChainDefinitions">
            <value><!-- 注意攔截順序，從上往下依次設定-->
                /actions/locale* = anon
                /actions/index* = anon
                /actions/logout = logout
                /actions/security/authenticate* = anon
                /actions/secured/** = authc,userAccessControlFilter
                /actions/**=authc
            </value>
        </property>
        <property name="filters">
            <map>
                <entry key="userAccessControlFilter" value-ref="userAccessControlFilter"/>
                <entry key="logout" value-ref="logoutFilter"/>
            </map>
        </property>
    </bean>

 <!-- Shiro 生命週期處理器,，保證實現shiro內部的生命週期函式bean的執行 -->
    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>